06.10.2026

ZachXBT под видом клиента внедрился к брокеру Lazarus. Разбор по шагам

Расследователь ZachXBT опубликовал, как внедрился в китайскую преступную группу, которая отмыла больше $1 млрд для северокорейской Lazarus Group по нескольким взломам. Главный — Bybit, $1,5 млрд, февраль 2025. Скриншоты — из его публикации.

• Где искал

Сразу после взлома Bybit он заметил больше 15 аккаунтов в открытых группах Telegram и Discord, которые просили помочь с «заказами» на украденные деньги. Отмывальщики сами светились в публичных чатах.

• Брокер

Одним из них был «Jimmy Green» в Telegram. В описании профиля: «чистка помеченных BTC, ETH, SOL, TRX, разрыв связей, без возвратов». В переписке: «профессиональное отмывание, изоляция и защита от заморозки», «мы крупнейшие в Китае».

• Как вошёл

6 марта 2025 года ZachXBT завёл новый адрес и положил на него 349,7 тыс. USDC. Менял у брокера USDC в Ethereum на USDT в TRON, теряя 5% на каждой сделке, — чтобы заслужить доверие.

• Первая улика

Газ на адрес брокера пришёл с адреса, который напрямую ведёт к украденному у Bybit и уже стоял в публичном блэклисте взлома. «Чистый» брокер платил комиссии деньгами хакеров.

• Что рассказывал брокер
• «Сегодня отмываю биткоины из Северной Кореи. Ким Чен Ын выпустил только 50 BTC»;
• «почти все $1,5 млрд отмыла наша команда»;
• «USDT, который я тебе даю, чистый, не заморозят»;
• «следим за здоровьем адреса, предупредим о риске за день, есть сотрудничество с TEDA».

Однажды он сказал, что завтра деньги уйдут в Solana, — на следующий день так и случилось.

• Доказательства в блокчейне
• 12 марта брокер прислал скриншот перевода через мост, ZachXBT нашёл эту транзакцию в THORChain по сумме и времени;
• три адреса в Solana раскрыли кластер на $12+ млн, который в реальном времени шёл по цепочке BTC → ETH → Solana → TRON;
• деньги прятали в пулах Uniswap с неликвидными токенами — новый приём;
• Tether заморозил 442 тыс. USDT из этого кластера.
• Хвосты

Брокер хвастался, что у знакомой команды в 2024 году «заморозили около $300 тыс.». В блокчейне нашлась заморозка 332 тыс. USDC — это деньги от взлома Poloniex. Ещё $3 млн «чистки» для другого клиента привели к кошельку Huione Guarantee, площадки, которая с тех пор под санкциями.

Итог: «заморозки не будет» не сработало ни разу. Все данные ZachXBT передал правоохранительным органам. С 2022 года по делам КНДР он помог заморозить больше $75 млн.

Что из этого следует для вас

• «Чистка» не стирает историю: блокчейн хранит путь денег, и одна комиссия за газ выдала связь с Bybit.
• Прыжки между сетями не спасают. Деньги шли через 4 сети и мосты — проверять нужно все сети и связи адреса, а не только его самого.
• Если вам заплатили USDT после такой «чистки», заморозить могут уже ваш кошелёк или депозит на бирже. Перед тем как принять крупный перевод, проверьте адрес отправителя.

Адреса брокера из расследования, адрес хакера Bybit и 51 адрес ФБР по этому взлому уже в нашей базе: проверка покажет высокий риск.

Проверить адрес → @amlconsensus_bot · amlconsensus.com

Источник: ZachXBT, X, 05.10.2026. Номер телефона и ID брокера на скриншоте скрыты нами.